工作中，使用過Volatility進行內存取證的朋友可能已經注意到了，它有一個缺點：無法進行實時內存分析。那么，如果需要實時內存取證的話，該怎么辦呢？別急，這時候Rekall就可以派上用場了。

　　Rekall的下載地址如下所示:

　　https://github.com/google/rekall/releases

　　Rekall支持以下操作系統：

　　· Microsoft Windows XP Service Pack 2和3

　　· Microsoft Windows 7 Service Pack 0和1

　　· Microsoft Windows 8和8.1

　　· Microsoft Windows 10

　　· Linux Kernels 2.6.24以及后續版本

　　· OSX 10.7-10.12.x

　　在本文中，我將使用Windows平臺下的Rekall軟件，該軟件的安裝非常簡單，這里就不介紹了。

　　需要注意的是，Rekall需要以管理員身份運行才能執行實時分析。此外，有時還必須指定相應的配置文件才能進行分析。為了找到正確的配置文件，請在Rekall控制臺中鍵入以下命令:

　　version_scan name_regex="krnl"

　　然后，還需要找到ntkrnlmp.pdb的guid

　　就這里來說，它為“5B396742883C48D0AB74C7374DEEE9161”。

　　現在，請輸入下列命令，以退出rekall控制臺：

　　quit

　　接著，使用以下命令再次運行rekall（注意，在命令中提供了相應的guid）：

　　rekal live --profile=nt/GUID/5B396742883C48D0AB74C7374DEEE9161

　　這樣，我們就可以跟rekall一起玩耍了，具體如下所示：

　　列出可用的插件

　　dir(plugins)

　　列出正在運行的進程：

　　pslist

　　列出進程樹：

　　pstree

　　查看服務并將輸出保存到services.txt文件中：

　　services(output="services.txt")

責任編輯：韓希宇